Réglementation · 5 min · mis à jour le 4 novembre 2026
Sanctions NIS 2 : ce que risquent les entreprises et leurs dirigeants
NIS 2 change d'échelle : les amendes sont alignées sur la logique du RGPD et la direction peut être tenue responsable. Voici ce que prévoient la directive et le projet de loi français.
Les amendes administratives
| Statut | Montant maximal |
|---|---|
| Entité essentielle | 10 M€ ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu |
| Entité importante | 7 M€ ou 1,4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu |
Le projet de loi exclut des amendes l'État, les collectivités territoriales et leurs établissements publics administratifs. Ils restent soumis aux obligations et aux contrôles.
Les contrôles de l'ANSSI
D'où l'importance de pouvoir présenter rapidement vos preuves : PSSI signée, analyse de conformité, plan d'action, procès-verbaux de tests de sauvegarde, comptes rendus d'exercices.
- Entités essentielles : contrôles a priori (sans incident préalable) et a posteriori.
- Entités importantes : contrôles a posteriori, après un incident ou des éléments laissant penser qu'elles ne respectent pas leurs obligations.
- Moyens : inspections sur place, audits de sécurité, demandes de documents et de preuves.
La responsabilité des dirigeants
L'article 20 de la directive impose aux organes de direction d'approuver les mesures de gestion des risques, d'en superviser la mise en œuvre et de suivre une formation. Ils peuvent être tenus responsables des manquements.
Pour les entités essentielles, la directive permet en dernier recours d'interdire temporairement à un dirigeant d'exercer ses fonctions de direction en cas de manquement persistant.
Au-delà de l'amende
- Injonctions de mise en conformité avec délai.
- Obligation d'informer les clients ou le public d'un manquement ou d'une menace.
- Atteinte à la réputation et perte de marchés : vos clients exigeront des preuves de conformité.
Questions fréquentes
Peut-on être sanctionné avant la promulgation de la loi ?
Non : les sanctions s'appliqueront une fois la loi promulguée et selon les délais qu'elle fixe. En revanche, un incident grave aujourd'hui engage déjà la responsabilité de l'entreprise sur d'autres fondements (RGPD, contrats).